Per anni, il consiglio standard contro la truffa del CEO via email è stato: "verifica sempre telefonicamente prima di disporre un bonifico". Un consiglio ancora valido, ma che va aggiornato — perché oggi anche la voce al telefono può essere falsa.

Cosa sta cambiando

Gli strumenti di clonazione vocale basati sull'intelligenza artificiale sono diventati accessibili, economici e sorprendentemente efficaci. Bastano pochi secondi di audio autentico — presi da un video pubblicato online, un webinar, un intervento a un evento, o anche un messaggio vocale — per generare un clone della voce di una persona in grado di pronunciare qualsiasi frase, con intonazione ed accento realistici.

Come viene usato nelle truffe

Lo schema riprende quello della classica truffa del CEO, ma aggiunge un canale che fino a poco tempo fa era considerato affidabile: una telefonata, o un messaggio vocale, con la voce clonata di un dirigente o titolare dell'azienda, che chiede con urgenza un bonifico, la condivisione di credenziali, o l'approvazione di un pagamento. Spesso questa chiamata arriva a supporto di un'email già inviata in precedenza, per aumentarne la credibilità: "ti ho appena scritto, richiamami se hai dubbi ma fai in fretta".

Perché funziona: riconoscere la voce di una persona che conosciamo è un riflesso quasi automatico, che aggiriamo raramente con lo scetticismo che applicheremmo a un'email. È proprio questa fiducia implicita che la tecnica sfrutta.

Un rischio non solo teorico

Casi di frodi aziendali basate su clonazione vocale sono già stati documentati a livello internazionale, con perdite economiche significative in alcune circostanze. Non si tratta di uno scenario futuristico: la tecnologia necessaria è già disponibile oggi, a basso costo, e richiede competenze tecniche limitate da parte di chi la utilizza.

Come proteggersi: non basta più "riconoscere la voce"

  • Codice di verifica condiviso: stabilisci con i colleghi che gestiscono pagamenti una parola o frase concordata in anticipo, da usare per confermare l'autenticità di richieste urgenti — qualcosa che un clone vocale non può conoscere
  • Richiama tu, su un numero noto: se ricevi una richiesta urgente per telefono, richiama tu stesso la persona su un numero che già possiedi, non su uno fornito nella comunicazione sospetta
  • Doppia approvazione per operazioni sopra una certa soglia: nessun pagamento rilevante dovrebbe dipendere dall'autorizzazione di una sola persona, indipendentemente da chi sembri richiederlo
  • Rallenta consapevolmente: l'urgenza è quasi sempre parte della manipolazione, non una reale necessità operativa

Perché conta ancora la posta elettronica

Anche quando l'attacco si sposta sul canale telefonico, il punto di partenza resta spesso una casella email compromessa o un dominio contraffatto: da lì l'attaccante raccoglie informazioni su ruoli, abitudini e linguaggio interno che rendono la successiva chiamata vocale più credibile. Proteggere la posta elettronica resta quindi la prima linea di difesa, anche contro attacchi che poi si sviluppano altrove.

Come ti protegge MailGestITA

Il gateway Libraesva riduce la superficie di attacco intercettando le email di ricognizione e i tentativi di compromissione degli account che spesso precedono questo tipo di truffa, mentre SPF, DKIM e DMARC correttamente configurati impediscono che il tuo dominio venga usato per inviare le email di supporto alla chiamata falsa. La tecnologia riduce il rischio, ma la verifica umana — un codice condiviso, una richiamata su un numero noto — resta l'ultima e più importante linea di difesa.